米当局、「Cisco ASA」など悪用が確認された脆弱性4件について注意喚起

「CVE-2020-3259」は、「AnyConnect」や「WebVPN」で特定の設定としている場合に影響があるという。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は「高（High）」とレーティングされている。

同社は2020年5月にアドバイザリを公表し、利用者に対応を呼びかけていたが、当初悪用などは確認されていなかった。2024年2月15日の時点で同アドバイザリの更新なども行われていない。

またマイクロソフトが2月の月例セキュリティ更新で修正した「Microsoft Exchange Server」の脆弱性「CVE-2024-21410」についても「悪用が確認された脆弱性カタログ（KEV）」に追加されている。

アドバイザリをリリースした2月13日の公開当初、同社は悪用は確認されていないとしていたが、翌日14日に情報を更新。悪用が確認されていることを明らかにした。

同リストに追加された脆弱性は、すでに悪用が確認されており、米行政機関では一定期間内に対応する義務が生じる。また脆弱性そのものは広く悪用されるおそれがあるため、製品を利用するすべての組織に向けて対応が呼びかけられている。

（Security NEXT - 2024/02/16 ）ツイート